[doc. web n. 10287326]

Provvedimento del 23 luglio 2026

Registro dei provvedimenti
n. 551 del 23 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, e il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato a questa Autorità è stato rappresentato che l’Azienda Ospedaliera-Universitaria di Bologna IRCCS ( di seguito “Azienda ospedaliera”) ha pubblicato sul proprio sito web istituzionale i dati personali della reclamante “riferiti ad una selezione avvenuta per reddito tramite centro per l’impiego, il cui giudizio di non idoneità è stato pubblicato sul sito internet ed indicizzato su google”.

Sulla base delle indicazioni fornite dalla reclamante a seguito delle verifiche effettuate dall’Ufficio è stata accertata la pubblicazione online, sul sito dell’Azienda ospedaliera, di un file in formato pdf dell’“ELENCO CANDIDATI IDONEI/NON IDONEI AVENTI TITOLO DALLA LISTA DI AVVIAMENTO TRASMESSA CON NOTA PROT. N. XX DEL XX PER LA COPERTURA DI XX”, contenente i nominativi dei partecipanti alla procedura (idonei e non idonei).

2. L’attività istruttoria.

Nell’ambito dell’istruttoria, l’Azienda ospedaliera, con nota del XX, ha dichiarato, in particolare, che:

- “la procedura selettiva di cui trattasi è finalizzata all’assunzione nel pubblico impiego di personale proveniente dai centri per l’impiego. Come previsto dall’art. 35, comma 1, lett. b) del D.Lgs. n.165/2001, infatti, l’avviamento a selezione ai sensi dell’art. 16 della legge 28 febbraio 1987, n.56 costituisce una “procedura di reclutamento” utilizzata nel pubblico impiego per l’assunzione a tempo indeterminato o determinato di lavoratori da inquadrare nei livelli retributivo-funzionali per i quali è richiesto il titolo di studio non superiore a quello della scuola dell’obbligo, sulla base di selezioni effettuate tra gli iscritti nelle liste di collocamento ed in quelle di mobilità, che abbiano la professionalità eventualmente richiesta e i requisiti previsti per l'accesso al pubblico impiego”;

- “con nota prot. n. XX del XX (e successive integrazioni) la Direzione Amministrativa della scrivente Azienda ha richiesto al Servizio Unificato Metropolitano per l’Amministrazione e Gestione del Personale (SUMAGP) l’avvio della procedura assunzionale. Il SUMAGP ha rivolto la richiesta al Centro per l’Impiego (CpI) di Bologna al fine di procedere all’ Assunzione a tempo indeterminato di n. 22 unità di personale”;

- “il Centro per l’impiego di Bologna, con determina dirigenziale n. XX del XX valida dal XX ha approvato la graduatoria, contenente n. 1329 nominativi da avviare a selezione”;

- “la selezione è stata diretta ad accertare esclusivamente l'idoneità del lavoratore a svolgere le relative mansioni e non ha comportato alcuna valutazione comparativa. Pertanto, per ciascun candidato selezionato in ordine di graduatoria del Centro per l’impiego la commissione ha espresso il giudizio di idoneità e non idoneità”;

- “come è possibile evincere dall’articolata descrizione della procedura e dalla normativa richiamata, l’avviamento a selezione, ai sensi dell’art. 16 della legge 28 febbraio 1987, n.56, pur non avendo natura concorsuale, in quanto non è previsto alcun momento valutativo della preparazione e della professionalità degli aspiranti, costituisce procedura di reclutamento per il pubblico impiego all’esito della quale il candidato valutato quale idoneo è destinato ad essere assunto a tempo determinato o indeterminato nel pubblico impiego”;

- “l’Azienda ha pubblicato la graduatoria finale nell’apposita sezione “Bandi di concorso” di “Amministrazione Trasparente” del sito istituzionale, in conformità alle specifiche regole tecniche e alle disposizioni di legge e di ANAC”.

- “con riferimento ai tempi di pubblicazione, si precisa che, ai sensi dell’art. 8, co. 3, del D.Lgs. n. 33/2013 “i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblicati per un periodo di 5 anni, decorrenti dal 1° gennaio dell’anno successivo a quello da cui decorre l’obbligo di pubblicazione”;

- “la mancata o difforme pubblicazione degli elementi caratteristici della procedura descritta determinerebbe per la scrivente amministrazione una mancata o difforme pubblicità di una procedura selettiva tesa a individuare e avviare all’assunzione a tempo indeterminato/determinato dei candidati. Il D.Lgs. 33 del 2013 afferma che è soggetta all’obbligo di pubblicazione la graduatoria finale. Ai fini, dunque, di una corretta adesione del disposto normativo è stata pubblicata l’intera graduatoria di cui all’ allegato A della determina dirigenziale nn. XX del XX”;

- “ad ogni buon conto, valutate le osservazioni di codesta spettabile Autorità, la pubblicazione della graduatoria in questione è stata rimodulata espungendo i dati personali dei non idonei. Inoltre, è stata avviata, attraverso i Servizi privacy aziendali con il necessario supporto del DPO e del RPCT, un’azione di verifica amministrativa delle modalità con cui gli obblighi di pubblicazione sono assolti dallo scrivente ente anche allo scopo di promuovere per il futuro azioni di miglioramento di natura formativa e informativa nei confronti degli uffici impegnati in tali attività”.

Con nota del XX l’Autorità, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Azienda ospedaliera ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver pubblicato, sul proprio sito web istituzionale, nella sezione “Amministrazione trasparente” un file in formato pdf dell’“elenco candidati idonei/non idonei aventi titolo dalla lista di avviamento trasmessa con nota prot. n. XX del XX per la copertura di n. 22 posti a tempo indeterminato nel profilo professionale di coadiutore amministrativo cat. b”, contenente i nominativi dei partecipanti alla procedura (idonei e non idonei), in violazione degli artt. artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies, comma 8 del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, l’azienda ospedaliera ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “i requisiti e le condizioni di partecipazione consentivano la partecipazione alla selezione anche di soggetti non gravati da disabilità o da alcuna situazione patrimoniale sfavorevole. In tal senso, è stato prevista, ad esempio, anche la partecipazione alla selezione di persone al momento occupate con qualsiasi tipo di contratto di lavoro”;

- “quanto alla pubblicazione degli esiti della selezione sul sito Aziendale, evidentemente le unità operative coinvolte hanno valutato l’applicabilità anche al caso di specie delle prescrizioni dell’art. 19 del D.Lgs. 33 del 2013. La norma, infatti nel dettare il “Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni” disciplina l’imparzialità e la trasparenza della PA, prevedendo che le pubbliche amministrazioni pubblichino i bandi di concorso per il reclutamento, a qualsiasi titolo, di personale presso la pubblica amministrazione, i criteri di valutazione della Commissione, le tracce delle prove e le graduatorie finali, aggiornate con l’ eventuale scorrimento degli idonei non vincitori”;

- “ciononostante, alla luce del rilievo sollevato da codesta spettabile Autorità, secondo il quale la partecipazione alla procedura selettiva descritta sarebbe capace di associare gli interessati a una generica condizione di disabilità e quindi di rivelare inequivocabilmente anche dati particolari, il sottoscritto Titolare al fine di assicurare la più ampia collaborazione, in data XX ha rimosso la pubblicazione dell’ intera graduatoria (contenente i dati anagrafici dei candidati idonei nella selezione) dal sito amministrazione trasparente”;

- gli interessati (e i relativi dati) coinvolti nella violazione sono pari a 95 unità. Al fine di descriverne la composizione si richiamano le Determinazioni del Responsabile del Servizio Unifico Metropolitano Amministrazione e Gestione del Personale Sumagp: Determinazione n. XX del XX, con la quale sono stati pubblicati XX i dati di 19 idonei e 69 non idonei […] Determinazione n. XX del XX, con la quale sono stati pubblicati il XX i dati di 3 idonei e 4 non idonei;

- “i dati dei candidati non idonei sono stati rimossi il XX. I dati dei candidati idonei sono stati rimossi in via precauzionale e comunque in un’ottica di collaborazione con la spettabile Autorità, in data XX”;

- “in attuazione del principio di accountability la scrivente, fin dalla pianificazione del budget XX riservato alla Unità Operativa del DPO (approvato nel mese di maggio XX), ha individuato l’obiettivo di “adozione di linee di indirizzo per la revisione sotto il profilo quantitativo e qualitativo delle informazioni pubblicate sui Siti Istituzionali Aziendali in materia di protezione dei dati”, attività tuttora in corso per la valutazione dei trattamenti disposti per finalità di trasparenza”;

- “sono promossi frequenti corsi di formazione per i dipendenti sia di alfabetizzazione (almeno due all’anno di media nell’ultimo triennio) che specialistici riservati a singoli trattamenti o categorie di essi. Tutto il personale è autorizzato al trattamento con rilascio di adeguate istruzioni”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX, l’Azienda ospedaliera ha dichiarato, in particolare, che:

- “quanto alla natura dei dati oggetto di trattamento, si fa presente che gli stessi rientrano esclusivamente nella categoria dei dati comuni, restando estranei alle categorie particolari di cui all’art. 9 del Regolamento (UE) 2016/679; l’inclusione nella lista di mobilità e collocamento non è, infatti, di per sé espressiva di specifiche caratteristiche in capo all’interessato che partecipa alla procedura e viene inserito nella predetta lista”;

- “a seguito dell’evento, il titolare ha messo in capo numerose attività al fine di prevenire il verificarsi di analoghe violazioni […] confermando la grande attenzione e sensibilità che è sempre stata manifestata dall’Azienda ospedaliera in merito al trattamento dei dati personali”;

- “a causa di talune limitazioni sul piano finanziario, il personale incaricato di curare lo svolgimento di tali pratiche è particolarmente limitato (5 dipendenti)”;

- “nel dettaglio, si richiama la complessità di queste procedure assunzionali nel contesto di un’azienda sanitaria, che tratta una molteplicità di dati personali in tali ambiti;

- “si richiama, altresì, l’attenzione del legislatore alla trasparenza nell’ambito della gestione del personale con particolare riferimento alle procedure di reclutamento, aree ad alto rischio corruttivo, come misura di prevenzione del rischio corruttivo in tale ambito, nel rispetto dell’art. 19 del d. lgs. 33/2013”.

3. Esito dell’attività istruttoria. La normativa applicabile.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche quando operino nello svolgimento di procedure concorsuali, selettive o comunque valutative, prodromiche all’instaurazione del rapporto di lavoro, possono trattare i dati personali degli interessati (art. 4, n. 1, del Regolamento) se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (si pensi a specifici obblighi previsti dalla normativa nazionale “per finalità di assunzione”, artt. 6, par. 1, lett. c), 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento e art. 2-ter del Codice).

Tali trattamenti devono, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro che deve perseguire un obiettivo di interesse pubblico ed essere proporzionato al perseguimento dello stesso. La finalità del trattamento deve essere necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (cfr. art. 6, par. 3, del Regolamento e 2-ter del Codice).

Con riguardo alle categorie particolari di dati personali, inclusi quelli relativi alla salute (in merito ai quali è previsto un generale divieto di trattamento, ad eccezione dei casi indicati all’art. 9, par. 2 del Regolamento e, comunque un regime di maggiore garanzia rispetto alle altre tipologie di dati (cfr., art. 9, par. 4, nonché dell’art. 2-septies, comma 8 del Codice), il trattamento è consentito ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento).

Il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, paragrafo 1, lett. a) e c) del Regolamento).

3.1. La diffusione online di dati personali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria nonché dall’accertamento compiuto sulla base degli elementi acquisiti, risulta che l’Azienda ospedaliera ha pubblicato, sul proprio sito web istituzionale, nella sezione “Amministrazione trasparente” un file in formato pdf dell’“elenco candidati idonei/non idonei aventi titolo dalla lista di avviamento trasmessa con nota prot. n. XX del XX per la copertura di n. 22 posti a tempo indeterminato nel profilo professionale di coadiutore amministrativo cat. b”, contenente i nominativi dei partecipanti alla procedura (idonei e non idonei). 

Con riguardo alla base giuridica che avrebbe giustificato la diffusione dei predetti dati non è stata comprovata dall’azienda ospedaliera l’esistenza di una specifica norma di legge che preveda la pubblicazione online, sul proprio sito web istituzionale, dell’elenco dei candidati idonei e non idonei a seguito di procedura selettiva di personale iscritto nelle liste dei centri per l’impiego, ai sensi dell’art.16 della l.56 del 1987.

Il riferimento all’art 19 del d.lgs. 33 del 2013, richiamato dell’Azienda ospedaliera al fine di giustificare la pubblicazione di tali elenchi allo scopo “di garantire la massima trasparenza dell’agire amministrativo”, risulta inconferente tenuto conto che l’obbligo di pubblicazione riguarda esclusivamente le “graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori” dei candidati partecipanti a un pubblico concorso ma nulla prevede riguardo alla pubblicazione dell’elenco di candidati partecipanti a quella particolare forma di assunzione prevista dall’art.16 della l.56 del 1987.

A tale riguardo, inoltre, si evidenzia che l’art. 19 del d.lgs. 14 marzo 2013, n. 33, nel prescrivere la pubblicazione delle sole “graduatorie finali”, contenente, inoltre, esclusivamente i nominativi dei candidati risultati vincitori, e non anche dei candidati non idonei, si riferisce esclusivamente alle procedure concorsuali scaturite da “bandi di concorso per il reclutamento” e non anche a quelle effettuate “mediante avviamento degli iscritti nelle liste di collocamento” (cfr.art.35 comma 1 lett. b) del d.lgs. 165 del 2001).

Di conseguenza il riferimento all’art. 8, co. 3, del d.lgs. n. 33 del 2013, che consentirebbe la pubblicazione per cinque anni delle predette graduatorie, risulta inconferente tenuto conto che la particolare forma di assunzione prevista dall’art.16 della citata l. n.56 del 1987 non può essere assimilata “a un pubblico concorso” come le procedure concorsuali alle quali si applica l’art.19 del citato decreto.

Come noto, il Garante ha fornito specifiche indicazioni alle pubbliche amministrazioni in ordine alle cautele da adottare per la diffusione di dati personali in Internet per finalità di trasparenza e pubblicità dell’azione amministrativa con le Linee guida in materia di trasparenza, (provv. n. 243 del 15 maggio 2014, doc. web n. 3134436, spec. parte I e II, par. 3.b; cfr., anche le “Linee guida in materia di trattamento di dati personali, di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, n.161, doc web n.1417809), per assicurare che il rispetto delle disposizioni di settore da parte delle amministrazioni obbligate avvenisse altresì in conformità alla disciplina di protezione dei dati.

In particolare, con riguardo a obblighi di pubblicazione online di dati, informazioni e documenti della p.a., previsti da specifiche disposizioni di settore diverse da quelle in materia di trasparenza – come, fra l’altro, quelli volti a garantire la conoscibilità di atti o provvedimenti amministrativi ai soggetti interessati – si evidenzia che “laddove la pubblicazione online di dati, informazioni e documenti, comporti un trattamento di dati personali, devono essere opportunamente contemperate le esigenze di pubblicità e trasparenza con i diritti e le libertà fondamentali, nonché la dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali” (cfr. Linee guida del 15 maggio 2014 sopra richiamate).

Come tradizionalmente più volte indicato dal Garante, la pubblicazione di dati personali online, a differenza delle tradizionali forme di pubblicità, costituisce una forma di diffusione di dati particolarmente invasiva poiché consente a chiunque di reperire indiscriminatamente e in tempo reale un insieme consistente di informazioni personali non sempre aggiornate e di natura differente. 

Si rappresenta, inoltre, che il Garante ha da tempo affermato che “ancorché, talvolta, la disciplina normativa di settore preveda espressamente forme specifiche e circoscritte di divulgazione (mediante, ad esempio, la sola messa a disposizione di documenti presso gli uffici o la sola affissione di atti in bacheche nei locali dell´amministrazione, ovvero mediante materiale affissione all´albo pretorio), tali forme di pubblicazione non autorizzano, di per sé, a trasporre tutti i documenti contenenti dati personali così pubblicati in una sezione del sito Internet dell´amministrazione liberamente consultabile. Al tempo stesso, ciò non preclude all’amministrazione di riprodurre in rete alcuni dei predetti documenti, sulla base di una valutazione responsabile e attenta ai limiti posti dai princìpi di pertinenza e non eccedenza” (v. Linee guida sopra richiamate). Nell’utilizzare tale strumento di diffusione occorre, quindi, prevedere forme adeguate di selezione delle informazioni ed eventualmente, nel caso di specie, l’Azienda ospedaliera avrebbe potuto ricorrere a forme di anonimizzazione del dato personale in modo da rendere conoscibile al solo interessato la propria posizione in graduatoria. 

Con particolare riguardo, inoltre, alle informazioni presenti nella predetta graduatoria si evidenzia che l’art.24 del D.P.R. 487 del 1994 prescrive che i centri per l’impiego, da cui i nominativi dei partecipanti alla predetta procedura sono stati individuati, formano “le graduatorie […] sulla base degli elementi di cui alla tabella allegata al presente decreto” in cui si fa riferimento anche a informazioni di natura particolare, quali il “grado di invalidità” (v. allegato al D.P.R. 487 del 1994 “CRITERI PER LA FORMAZIONE DELLE GRADUATORIE”). 

A tale riguardo, seppure non è possibile individuare, con riferimento alla graduatoria pubblicata, quale sia la ragione della partecipazione alla predetta procedura di ciascun interessato, e cioè se sia il possesso di una condizione di disabilità o di una situazione patrimoniale o reddituale sfavorevole, la sola partecipazione a tale procedura può determinare l’eventuale associazione degli interessati a una condizione di disabilità. Tali informazioni, non tutte riconducibili a categorie particolari di dati, ma riferite a specifiche condizioni soggettive dei partecipanti alla predetta procedura, devono senza dubbio essere trattate dall’amministrazione, ma, alla luce del quadro normativo di settore, non ricorrono i presupposti per la loro diffusione mediante pubblicazione online.

In ogni caso il trattamento in esame, anche quando non si riferisca direttamente a un dato relativo alla salute degli interessati, consistendo comunque nella diffusione di informazioni personali che rivelano aspetti economici o sociali delicati, potrebbe determinare effetti pregiudizievoli per gli stessi, compromettendone la propria dignità.

Alla luce delle considerazioni che precedono la pubblicazione online sul sito web istituzionale nella sezione “Amministrazione trasparente” dell’Azienda ospedaliera di un file in formato pdf dell’“elenco candidati idonei/non idonei aventi titolo dalla lista di avviamento trasmessa con nota prot. n. XX del XX per la copertura di n. 22 posti a tempo indeterminato nel profilo professionale di coadiutore amministrativo cat. b”, contenente i nominativi dei partecipanti alla procedura (idonei e non idonei), è stata effettuata in assenza di un’idonea base giuridica e in modo non conforme ai principi di “liceità, correttezza trasparenza”, nonché di “minimizzazione dei dati”, in violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice.

3.2. Conclusioni. 

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi del combinato disposto di cui agli artt. 11 e 14 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento in relazione alla diffusione dei dati personali di l’Azienda ospedaliera ha pubblicato, sul proprio sito web istituzionale, nella sezione “Amministrazione trasparente” un file in formato pdf dell’“elenco candidati idonei/non idonei aventi titolo dalla lista di avviamento trasmessa con nota prot. n. XX del XX per la copertura di n. 22 posti a tempo indeterminato nel profilo professionale di coadiutore amministrativo cat. b”, contenente i nominativi di novantacinque partecipanti alla procedura tra idonei e non idonei, in violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In ogni caso, considerando che la condotta ha esaurito i relativi effetti - atteso che l’Azienda ospedaliera ricevuta la richiesta di informazioni dell’Autorità ha provveduto a rimuovere dal proprio sito web istituzionale i nominativi dei non idonei e, successivamente, al ricevimento della comunicazione dell’avvio dell’istruttoria a rimuovere anche i nominativi dei candidati idonei - non ricorrono i presupposti per l’adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento. 

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60), tenuto conto che:   

- il trattamento in questione, che si è protratto, nel complesso, dal XX a XX ha riguardato la pubblicazione di dati personali di circa 90 partecipanti alla predetta procedura, tra idonei e non idonei (art. 83, par. 2, lett. a), del Regolamento);

- la violazione è avvenuta in buona fede nella erronea convinzione di agire conformemente alla disciplina di settore applicabile considerando che l’Azienda ospedaliera ha operato nell’errata convinzione di poter perseguire finalità di pubblicità e trasparenza dell’azione amministrativa, considerato anche che la normativa di settore applicabile è risalente nel tempo e non di facile interpretazione alla luce della normativa di protezione dei dati personali, ma non tenendo conto delle indicazioni fornite nel tempo dal Garante a tutti i soggetti pubblici in materia (art. 83, par. 2, lett. b), del Regolamento); 

- la pubblicazione ha riguardato, seppure indirettamente, anche dati personali appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento).

Ciò premesso, si devono considerare, le seguenti circostanze attenuanti:

- l’Azienda ospedaliera, ha adottato specifiche misure rimuovendo i predetti dati personali dal relativo sito web istituzionale e ha dichiarato di aver assunto iniziative, sul piano tecnico e organizzativo, finalizzate a conformarsi alla normativa applicabile e alle indicazioni del Garante (art. 83, par. 2, lett. c) del Regolamento);

- l’Azienda ospedaliera ha offerto una piena cooperazione con l’Autorità art.83, par.2, lett. f), del Regolamento)

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 10.000,00 (diecimila/00) per la violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione dei numerosi dati personali, anche di natura particolare, di circa novanta partecipanti alla procedura che sono stati pubblicati sul sito web istituzionale dell’Azienda ospedaliera.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato dall’Azienda ospedaliera nei termini di cui in motivazione, per la violazione degli artt. 5, 6 e 9 del Regolamento, nonché 2-ter e 2-septies-comma 8 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento all’Azienda Ospedaliero - Universitaria di Bologna IRCCS, in persona del legale rappresentante pro-tempore, con sede in via Albertoni n. 15, 40138 Bologna C.F. 92038610371, di pagare la somma di euro 10.000,00 (diecimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi all’azienda ospedaliera di pagare la predetta somma di euro 10.000,00 (diecimila/00) secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

a) ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

b) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori